In einem Boardmeeting saß kürzlich jemand, der beobachtete wie das Cyber-Update vier Minuten dauerte – zweitletzter Tagesordnungspunkt, höfliche Frage

In einem Boardmeeting saß kürzlich jemand, der beobachtete wie das Cyber-Update vier Minuten dauerte – zweitletzter Tagesordnungspunkt, höfliche Fragen, niemand wirklich involviert. Danach verbrachte dasselbe Gremium vierzig Minuten mit einem Mietvertrag. Dieses Verhältnis beschreibt das Problem präziser als jede Statistik. Cyber und KI werden in den meisten Unternehmen noch immer als IT-Themen behandelt. Jemand aus der IT berichtet, die Führung nickt, das Thema wandert wieder nach unten. Was dabei übersehen wird: Die Frage, ob das Unternehmen einen Cybervorfall übersteht, ob KI-Tools unkontrolliert Unternehmensdaten nach außen leiten, ob das eigene Geschäftsmodell durch KI strukturell infrage gestellt wird – das sind keine IT-Fragen. Das sind Führungsfragen. In Australien hat die Aufsichtsbehörde das bereits mit konkreten Verfahren gegen Unternehmensführer klargestellt: Wer Cyber-Risiken an die IT-Abteilung delegiert, delegiert die Aufgabe. Nicht die Verantwortung. Die bleibt bei der Führung – egal ob man davon wusste oder nicht. In Deutschland ist die Rechtslage weniger scharf formuliert, aber die Richtung ist dieselbe. NIS2 macht Geschäftsführer persönlich haftbar für angemessene Cybersicherheitsmaßnahmen. Der EU AI Act verpflichtet zur Governance von KI-Systemen. StaRUG verlangt Frühwarnsysteme für bestandsgefährdende Risiken – und ein unkontrollierter Cyberangriff oder eine unkontrollierte KI-Nutzung können genau das auslösen. Was in der Praxis fast überall fehlt, ist nicht das Bewusstsein, dass das Thema wichtig ist. Es ist die strukturelle Verortung: Wer im Unternehmen ist verantwortlich für die Cyber- und KI-Governance – nicht operativ, sondern strategisch? Wer entscheidet, welche KI-Tools im Unternehmen genutzt werden dürfen? Wer weiß, welche dieser Tools Unternehmensdaten auf externe Server übertragen, möglicherweise in Jurisdiktionen mit anderen Datenschutzstandards? Und wer stellt sicher, dass es darauf eine Antwort gibt, bevor der Ernstfall eintritt? Das lässt sich auf drei konkrete Fragen reduzieren, die jede Führungskraft beantworten können sollte: Welche KI-Tools nutzen Mitarbeiter im Unternehmen – offiziell und inoffiziell? Wohin fließen die Daten, die dabei eingegeben werden? Und gibt es eine klare Richtlinie, die Mitarbeiter kennen und befolgen? Wer diese drei Fragen nicht beantworten kann, hat keine IT-Lücke. Er hat eine Führungslücke.